View a markdown version of this page

Acesso à força de trabalho por meio de uma região adicional - Centro de Identidade do AWS IAM
Sessões de usuário em várias Regiões da AWSAWS acesse os endpoints do portal no primário e no adicional Regiões da AWSEndpoints ACS no primário e no adicional Regiões da AWSUtilizar AWS aplicativos gerenciados sem vários URLs do ACS

As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Acesso à força de trabalho por meio de uma região adicional

Esta seção explica como sua força de trabalho pode acessar o Portal de acesso da AWS, Conta da AWS s e os aplicativos quando você ativa o IAM Identity Center em várias regiões.

Portal de acesso da AWS Em uma região adicional exibe os Conta da AWS s e aplicativos aos quais sua força de trabalho tem acesso da mesma forma que na região principal. Sua força de trabalho pode entrar Portal de acesso da AWS em outra região por meio de um link direto para o endpoint do portal regional (por exemplo,https://ssoins-111111h2222j33pp.eu-west-1.portal.amazonaws.com). Se você usa um provedor de identidade externo, sua força de trabalho também pode entrar por meio de um aplicativo de favoritos que você configurou no IdP externo.

Você pode usar o Portal de acesso da AWS endpoint em uma região adicional para autorizar o AWS CLI acesso às APIs como usuário do IAM Identity Center. Essa funcionalidade funciona da mesma forma que na região primária. No entanto, as autorizações da CLI não são replicadas nas regiões habilitadas. Portanto, você precisa autorizar a CLI em cada região individualmente.

Sessões de usuário em várias Regiões da AWS

O IAM Identity Center replica as sessões do usuário da região de origem para as outras regiões habilitadas. A revogação da sessão e a saída em uma região também são replicadas nas outras regiões.

Revogação da sessão pelos administradores do IAM Identity Center

Os administradores do IAM Identity Center podem revogar sessões de usuários em outras regiões. Como as sessões são replicadas entre regiões, em condições normais, basta revogar uma sessão em uma única região e permitir que o IAM Identity Center replique a alteração para as outras regiões habilitadas. Se a região principal do IAM Identity Center tiver uma interrupção, os administradores poderão realizar essa operação em outras regiões.

Portal de acesso da AWS endpoints no primário e adicional Regiões da AWS

Se você precisar pesquisar os URLs do portal de AWS acesso para as regiões habilitadas, siga estas etapas:

  1. Abra o console do IAM Identity Center.

  2. No painel de navegação, selecione Configurações.

  3. Escolha a guia Gerenciamento.

  4. Na seção Regiões do IAM Identity Center, escolha Exibir todos os URLs do portal de AWS acesso.

A tabela a seguir especifica os Portal de acesso da AWS endpoints nas regiões primária e adicional de uma instância do IAM Identity Center.

Portal de acesso da AWS endpoint Região principal Região adicional Padrão e exemplo de URL
IPv4 clássico (somente 1) Sim Não

Pattern: https://[Identity Store ID].awsapps.com/start

Exemplo: https://d-12345678.awsapps.com/start

Custom-alias IPv4 somente 1 Sim (opcional) Não

Pattern: https://[custom alias].awsapps.com/start

Exemplo: https://mycompany.awsapps.com/start

IPv4 alternativo (somente 2) Sim Sim

Pattern: https://[Identity Center instance ID]. [Region].portal.amazonaws.com

Exemplo: https://ssoins-111111h2222j33pp.eu-west-1.portal.amazonaws.com

Dual-stack2 Sim Sim

Pattern: https://[Identity Center instance ID].portal. [Region].app.aws

Exemplo: https://ssoins-111111h2222j33pp.portal.eu-west-1.app.aws

1 Em outras regiões, o alias personalizado não é suportado e o domínio awsapps.com principal não está disponível.

2 Os endpoints alternativos do portal somente IPv4 e de pilha dupla não têm o final na URL. /start

Endpoints do Assertion Consumer Service (ACS) no primário e no adicional Regiões da AWS

nota

Esta seção se aplica somente às instâncias que usam um provedor de identidade externo (IdP). Se você usar o diretório do Identity Center como sua fonte de identidade, a configuração de URL do ACS não será necessária.

Se você precisar pesquisar os URLs do ACS ou baixá-los como parte dos metadados SAML, siga estas etapas:

  1. Abra o console do IAM Identity Center.

  2. No painel de navegação, selecione Configurações.

  3. Escolha a guia Origem da identidade.

  4. No menu suspenso Ações, escolha Gerenciar autenticação.

  5. A seção de metadados do provedor de serviços exibe o URL Portal de acesso da AWS e o ACS para cada região habilitada. IPv4-only e os URLs de pilha dupla são exibidos em guias separadas. Se o seu IdP suportar o upload de um arquivo de metadados SAML, você poderá escolher Baixar arquivo de metadados para baixar o arquivo de metadados SAML com todos os URLs do ACS. Se o seu IdP não suportar o upload de um arquivo de metadados, ou se você preferir adicionar URLs do ACS individualmente, você pode copiar URLs individuais da tabela no console ou escolher Exibir URLs do ACS e depois Copiar todos os URLs. Mantenha a URL do ACS que já está configurada para a região primária para garantir que o login único SAML iniciado pelo provedor de serviços a partir da região primária permaneça funcional.

A tabela a seguir especifica os endpoints do SAML Assertion Consumer Service (ACS) nas regiões primária e adicional de uma instância do IAM Identity Center:

Endpoint ACS Região principal Região adicional Padrão e exemplo de URL
Somente IPv4 Sim Sim

Pattern: https://[Region].signin.aws/platform/saml/acs/[Tenant ID]

Exemplo: https://us-west-2.signin.aws/platform/saml/acs/1111111111111111-aaee-ffff-dddd-11111111111

Somente IPv4 alternativo* Sim Não

Pattern: https://[Region] .signin.aws.amazon.com/platform/saml/acs/[Tenant ID]

Exemplo: https://us-west-2.signin.aws.amazon.com/platform/saml/acs/1111111111111111-aaee-ffff-dddd-11111111111

Dual-stack Sim Sim

Pattern: https://[Region].sso.signin.aws/platform/saml/acs/[Tenant ID]

Exemplo: https://us-west-2.sso.signin.aws/platform/saml/acs/1111111111111111-aaee-ffff-dddd-11111111111

* Para instâncias que foram habilitadas antes de fevereiro de 2026, mantenha esse endpoint porque o login único SAML iniciado pelo provedor de serviços na região primária exige isso. O IAM Identity Center não usa esse endpoint para instâncias que foram habilitadas em fevereiro de 2026 ou posteriormente.

Utilizar AWS aplicativos gerenciados sem vários URLs do ACS

nota

Esta seção se aplica somente às instâncias que usam um provedor de identidade externo (IdP). Se você usar o diretório do Identity Center como sua fonte de identidade, essa limitação não se aplica.

Alguns provedores de identidade externos (IdPs) não oferecem suporte a vários URLs do Assertion Consumer Service (ACS) em seu aplicativo IAM Identity Center. Vários URLs do ACS são um recurso SAML necessário para o login direto em uma região específica em um centro de identidade IAM multirregional.

Por exemplo, se você iniciar um aplicativo AWS gerenciado por meio de um link de aplicativo, o sistema acionará o login por meio da região do Centro de Identidade IAM conectada ao aplicativo. No entanto, se a URL do ACS para essa região não estiver configurada no IdP externo, o login falhará.

Para resolver esse problema, trabalhe com seu fornecedor de IdP para ativar o suporte para vários URLs do ACS. Enquanto isso, você ainda pode usar aplicativos AWS gerenciados em outras regiões. Primeiro, entre na região cuja URL do ACS está configurada no IdP externo (a região primária por padrão). Depois de ter uma sessão ativa no IAM Identity Center, você pode iniciar o aplicativo a partir do portal de AWS acesso em qualquer região habilitada ou por meio de um link de aplicativo.